Single Sign-on für Adobe Produkte mit Microsoft (Azure) Active Directory realisieren

Single Sign-on (SSO) verspricht verbesserten Nutzerkomfort, reduzierten IT-Aufwand und erhöhte Sicherheit. Für die Adobe Cloud Services lässt sich SSO wahlweise im Zusammenspiel mit dem lokalen Microsoft Active Directory oder dem Cloud-basierten Azure Active Directory realisieren. Wir stellen Ihnen die beiden Wege vor und zeigen Ihnen, wie Sie sie umsetzen können.

Adobe und Microsoft verbindet schon seit Jahren eine strategische Partnerschaft. Beide Hersteller sind in ihrem Bereich führend und verlagern ihre Produkte zunehmend in die Cloud. Und je mehr Cloud-Dienste Unternehmen einsetzen, umso aufwendiger wird die Nutzerverwaltung. Denn jeder Service erfordert seinen eigenen Login. Dadurch müssen Administratoren eine Unmenge an Accounts managen. Sie müssen sicherstellen, dass jeder Anwender die passenden Zugriffsrechte hat, entsprechende Zugänge beim Onboarding einrichten und beim Offboarding wieder sperren. Außerdem müssen sie verhindern, dass ein Wildwuchs an Accounts und Benutzernamen oder knackbare Passwortkombinationen entstehen.

Welche Vorteile bringt Single Sign-on?

Single Sign-on (SSO) bietet die Nutzerauthentifizierung über einen zentralen Service. Anwender können sich dann mit denselben Login-Daten bei vielen verschiedenen Cloud-Diensten automatisch anmelden und müssen sich keine endlosen Varianten an Zugangsdaten mehr merken. Das vereinfacht die Arbeit nicht nur für die Nutzer, sondern auch für Administratoren und erhöht die Sicherheit. Es reduziert die Zahl der zu verwaltenden Accounts und das Management erfolgt über eine zentrale Konsole.

Besonders komfortabel lässt sich SSO im Zusammenspiel mit dem lokalen Microsoft Active Directory (AD) oder dem Cloud-basierten Azure Active Directory (AAD) umsetzen. Denn dann können Administratoren die zentrale Nutzerverwaltung, die sie ohnehin im Microsoft-Netzwerk einsetzen, auch auf die Adobe-Dienste ausweiten.

Voraussetzung: Federated ID

Die Lizenzen von Adobe sind nicht mehr geräte-, sondern nutzerbasiert – und um Anwender den Lizenzen zuzuordnen, gibt es drei verschiedene ID-Typen: die Business ID, die Enterprise ID und die Federated ID.

Um SSO für die Adobe-Dienste umzusetzen, benötigen Unternehmen eine sogenannte Federated ID. Was verbirgt sich dahinter? Bei der Federated ID liegen die Kennwortinformationen lokal im Unternehmen oder einem entsprechenden Identity Provider Dienst. Dadurch liegen keine Zugangsdaten bei Adobe. Wer bisher noch die Enterprise ID oder einzelne Business IDs verwendet, sollte also zunächst den ID-Typ wechseln.

Zwei Wege zu SSO: Active Directory oder Azure Active Directory

1. Active Directory On-Premises

Das Active Directory dient der Verwaltung von Benutzern, Applikationen, Geräten, Dateidiensten und anderen Ressourcen im lokalen Windows-Netzwerk. Das AD wurde jedoch nicht für das Management von Web-basierten Services designt. Um SSO mit dem AD durchzuführen, sind zwei Komponenten erforderlich: das Adobe User Sync Tool und ein Identity Provider. Das Adobe User Sync Tool verbindet das AD mit dem Adobe-Verzeichnisdienst und synchronisiert die beiden automatisiert. Auf diese Weise lässt sich die Adobe-Nutzerverwaltung auch in bestehende User-Lifecycle-Prozesse integrieren.

Wenn zum Beispiel ein neuer Mitarbeiter ins Unternehmen kommt, der eine Adobe-Lizenz benötigt, wird dies in einem Identitätsmanagement-System (IDM) konfiguriert und die Lizenz wird automatisiert bereitgestellt.

Für das eigentliche SSO ist der Identity Provider (IDP) zuständig. Dabei handelt es sich um einen Dienst, der entweder lokal installiert wird oder als Cloud Service gebucht werden kann. Der IDP ist zwischen die Anwendersysteme und die Adobe Cloud geschaltet und übernimmt die Authentifizierung. Dafür muss ein Server konfiguriert sein, der auf das lokale AD Zugriff hat und auf dem sich die Anwender über ihre Systeme anmelden können.

 2. Azure Active Directory

Das Azure Active Directory wurde speziell für webbasierte Dienste entwickelt und dient zur Nutzerverwaltung sämtlicher Microsoft Cloud Services. Wer Office 365, SharePoint oder Exchange Online einsetzt, verwendet daher ohnehin das AAD. Mit dem AAD lässt sich SSO deutlich einfacher umsetzen als mit dem AD. Kunden benötigen weder ein Sync Tool noch müssen sie einen zusätzlichen IDP installieren.

Denn das AAD wird meist schon automatisiert über das Microsoft Azure AD Connect mit dem lokalen AD synchronisiert und übernimmt darüber hinaus selbst die Rolle des IDP. Das AAD kann direkt von Cloud zu Cloud mit dem Adobe Cloud Verzeichnisdienst kommunizieren. Um die Verbindung herzustellen, muss man lediglich den Azure AD Connector einrichten, den Adobe bereitstellt. Mittels eines Assistenten ist die Anbindung in wenigen Minuten konfiguriert.

Welcher Weg ist der Richtige?

Wer grundsätzlich Sicherheitsbedenken in der Cloud hat, der sollte SSO lieber mit dem lokalen AD umsetzen. Denn dann bleiben die Zugangsdaten On-Premises und Administratoren behalten die volle Kontrolle. Dafür nimmt man aber auch einen höheren technischen Aufwand in Kauf.

Für Unternehmen, die ohnehin schon Microsoft Cloud Services wie Microsoft 365 nutzen oder dies planen, ist dagegen die AAD-Anbindung der bessere Weg. Denn so können sie SSO erheblich einfacher realisieren und Aufwände für das IT-Management langfristig reduzieren. Diese Variante empfiehlt sich auch mit Blick in die Zukunft. Denn AAD kann nicht nur als IDP für die Services von Microsoft und Adobe fungieren, sondern auch für die Cloud-Dienste vieler anderer Provider.